Questão de Segurança da Informação — Norma ISO 27001 — FGV 2025
Segurança da Informação›Norma ISO 27001
Código
fg121738
Banca
FGV
Órgão
TCE-PI
Ano
2025
Nível
Superior
Cargo
Auditor de Controle Externo - Controle Externo - Específica de Tecnologia da Informação - Infraestrutura e Segurança (Manhã)
A NBR ISO/IEC 27001:2022 fornece os requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão de segurança da informação (SGSI) no contexto da organização.Com relação às cláusulas e aos controles descritos nessa norma, analise as afirmativas a seguir.I. A organização deve determinar e fornecer os recursos necessários para o estabelecimento, implementação, manutenção e melhoria contínua de um SGSI.II. É obrigatório a implementação de todos os controles listados no Anexo A da norma.III. As cláusulas da referida norma estão divididas em contexto da organização, liderança, planejamento, implementação, suporte, operação, manutenção e conclusão.Está correto o que se afirma em
AI, apenas.
BI e II, apenas.
CI e III, apenas.
DII e III, apenas.
EI, II e III.
Revelar gabarito e comentário▾
GabaritoA — I, apenas.
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
NBR ISO/IEC 27001:2022 – Requisitos do SGSI
Gabarito: A (apenas a afirmativa I). A afirmativa I reproduz o comando do item 7.1 da norma, que exige que a organização determine e forneça os recursos para o SGSI. Já a afirmativa II erra ao afirmar que todos os controles do Anexo A são obrigatórios – a implementação é seletiva conforme a avaliação de riscos. A afirmativa III também é falsa, pois a estrutura de cláusulas da norma não inclui "implementação" como cláusula separada, e os nomes das cláusulas estão incorretos.
Afirmativa
Conteúdo
Status
Justificativa
I
A organização deve determinar e fornecer os recursos necessários para o SGSI.
✅ Correta
Reproduz o item 7.1 da norma, que exige recursos para todo o ciclo do SGSI.
II
É obrigatória a implementação de todos os controles do Anexo A.
❌ Incorreta
A implementação é seletiva, baseada na avaliação de riscos; o Anexo A é referência, não checklist obrigatória.
III
As cláusulas da norma incluem "implementação", "manutenção" e "conclusão".
❌ Incorreta
As cláusulas reais são: Contexto, Liderança, Planejamento, Suporte, Operação, Avaliação de desempenho e Melhoria.
Afirmativa I — ✅ Correta
A NBR ISO/IEC 27001:2022, em seu item 7.1 (Recursos), estabelece:
ABNT-NBR-ISO/IEC-27001-7.1
ABNT NBR ISO/IEC 27001 item 7.1 — Recursos A organização deve determinar e prover recursos necessários para estabelecer, implementar, manter e melhorar continuamente o sistema de gestão da segurança da informação
Portanto, a exigência de determinar e fornecer recursos para todo o ciclo do SGSI (estabelecer, implementar, manter e melhorar) é textual. A afirmativa está correta.
Afirmativa II — ❌ Incorreta
A norma não exige que todos os controles do Anexo A sejam implementados. A organização deve selecionar os controles aplicáveis com base em sua avaliação de riscos de segurança da informação e no processo de tratamento de riscos. O próprio item 6.1.3 (Tratamento de riscos de segurança da informação) orienta que a organização deve definir e aplicar um processo de tratamento de riscos e selecionar controles apropriados. O Anexo A é uma lista de referência, não uma checklist obrigatória.
NÃO CAIA NESSA!
A banca explora a generalização indevida: o candidato pode pensar que, por ser uma norma de gestão, todos os controles listados são mandatórios. Na verdade, a ISO 27001 permite que a organização escolha os controles com base no risco, sendo a implementação seletiva (exceção à regra de obrigatoriedade total).
Afirmativa III — ❌ Incorreta
As cláusulas da NBR ISO/IEC 27001:2022 (da Seção 4 à Seção 10) são:
4. Contexto da organização
5. Liderança
6. Planejamento
7. Suporte
8. Operação
9. Avaliação de desempenho
10. Melhoria
A afirmativa III menciona "implementação" e "manutenção" e "conclusão", que não existem como cláusulas. O correto é "Operação" (que abrange a implementação) e "Melhoria" (que abrange a manutenção). Não há uma cláusula "Conclusão". Portanto, a afirmativa é falsa.